Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Pencegahan "confused deputy" lintas layanan
Deputi yang bingung adalah entitas (layanan atau akun) yang dipaksa oleh entitas yang berbeda untuk melakukan suatu tindakan. Jenis peniruan identitas ini dapat terjadi lintas akun dan lintas layanan.
Untuk mencegah kebingungan deputi, AWS sediakan alat yang membantu Anda melindungi data Anda untuk semua layanan menggunakan prinsip layanan yang telah diberikan akses ke sumber daya di Anda. Akun AWS Bagian ini berfokus pada pencegahan wakil kebingungan lintas layanan khusus untuk Internet Monitor; Namun, Anda dapat mempelajari lebih lanjut tentang topik ini di bagian masalah wakil yang membingungkan dari Panduan IAM Pengguna.
Untuk membatasi izin yang IAM diberikan kepada Internet Monitor untuk mengakses sumber daya Anda, sebaiknya gunakan kunci konteks kondisi global aws:SourceArn
dan aws:SourceAccount
dalam kebijakan sumber daya Anda.
Jika Anda menggunakan kedua kunci konteks kondisi global ini, dan aws:SourceArn
nilainya berisi Akun AWS ID, aws:SourceAccount
nilai dan Akun AWS in aws:SourceArn
harus menggunakan Akun AWS ID yang sama saat digunakan dalam pernyataan kebijakan yang sama.
Untuk Internet Monitor, Anda menentukan ID akun Anda untuk aws:SourceAccount
dan monitor ARN Anda untuk. aws:SourceArn
Untuk akses lintas layanan, Anda juga menggunakan monitor aws:SourceArn
ARN untuk.
catatan
Cara paling efektif untuk melindungi dari masalah wakil yang membingungkan adalah dengan menggunakan kunci konteks kondisi aws:SourceArn
global dengan ARN penuh sumber daya. Jika Anda tidak mengetahui ARN lengkap, atau jika Anda menentukan beberapa sumber daya, gunakan kunci kondisi konteks aws:SourceArn
global dengan wildcard (*
) untuk bagian ARN yang tidak diketahui. Misalnya, arn:aws:internetmonitor:us-east-1:
.111122223333
:*
Berikut ini adalah contoh kebijakan peran asumsi yang menunjukkan bagaimana Anda dapat mencegah masalah wakil yang membingungkan.
{ "Version": "2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "internetmonitor.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:internetmonitor:us-east-1:111122223333:monitor/confused-deputy-monitor" }, "StringEquals": { "aws:SourceAccount": "111122223333" } } } }